5月8日早晨，币安官方发出公告称于2019年5月7日17:15:24在系统中发现“大规模安全漏洞”。币安表示该安全漏洞是黑客使用了复合型技术，包括网络钓鱼、病等其他攻击手段，从而黑客能够访问大量用户应用程序接口密钥、双因素身份验证码、以及其他信息，在区块高度575012处从币安热钱包中盗取7000枚比特币。致使交易所损失4100万美金。
针对此次盗币事件，Beosin成都链安秉持打造区块链全生态安全的宗旨，我们的技术团队第一时间采取行动，作出深度分析。
Algorand 基金会任命 Anil Kakani 为印度地区负责人:金色财经报道，Algorand 基金会任命 Anil Kakani 为印度地区负责人，Kakani 将领导 AlgoBharat 团队和 Algorand 在印度的所有编程和项目，包括大学教育项目、社区项目以及私人和公共合作伙伴关系。
据悉，Kakani 此前在华盛顿特区的公共和私营部门担任过多个职务，包括担任美国财政部的印度高级顾问，在那里他建立了美国财政部和印度财政部之间的第一个双边伙伴关系。他还曾担任康宁公司印度商业发展总监，并在印度的 Anand Rathi Investment Banking 和美国的 Vikasa Holdings 担任高级领导职务。[2022/11/29 21:10:27]
攻击现场：
Algorand基金会宣布Staci Warden担任首席执行官:2月10日消息，Algorand基金会宣布任命Staci Warden为首席执行官，立即生效。Warden自2021年9月以来一直在Algorand基金会董事会任职。
根据其Linkedin资料，在加入Algorand之前，Warden曾担任摩根大通的执行董事，负责欧洲、非洲、俄罗斯和中亚的多边机构关系。她还曾在纳斯达克工作，负责监督该交易所为微型股企业开发的上市交易平台BBX的开发。（CoinDesk）[2022/2/10 9:43:26]
黑客攻击交易详情如下，
Algorand发布“虚拟机”以提升智能合约性能:金色财经报道，Algorand发布了后端升级，以提高基于Algorand的应用程序的计算能力。新推出的Algorand虚拟机（AVM）将使Algorand智能合约的性能得到提升，使新参与者更容易在链上开发程序。Algorand首席产品官Paul Riegel表示，AVM使Algorand智能合约开发“更接近于其他区块链上的开发人员所习惯的思维模型”。[2021/9/30 17:16:16]
攻击最后发生在575013块，总损失最高可达7074个BTC。
下图为黑客详细提币地址：
截至目前，币安热钱包被盗约7000枚BTC。
现在币安的热钱包余额3,612.69114593个BTC，有余额留存，说明币安热钱包的私钥目前是安全的。
事件分析：
经过我们分析，在5月8日01：17：18通过API接口在同一时间发起提币操作。
币安交易所的API申请后会生成APIkey和Secretkey，如下图：
API接口有“限定用户开放IP限制”和“开放提现的功能”。
“开放提现”是指直接利用APIkey和Secretkey直接提现，不需要手机验证码、短信、谷歌验证码。
如下图：
API部分官方调用代码demo如下：
我们初步分析认为是用户的APIkey和Secretkey信息泄露导致的此次攻击。
如果用户没有限制ip并配置了开放提现功能，任意攻击者在获取了APIkey和Secretkey信息后便可以实现攻击。
用户的信息泄露途径可能有四：
1.普通用户一般不会使用APIkey，一般是高级用户用于代码中实现自动化交易，可能是用户源码泄露导致Secretkey泄露
2.用户被钓鱼攻击，输入了APIkey和Secretkey被黑客截取。
3.用户的APIkey和Secretkey保存的电脑被攻击窃取。
4.币安交易所系统原因导致用户APIkey和Secretkey泄露，其中只有71个用户开放了提现功能，被盗币。
安全提示：
Beosin成都链安建议各交易所和用户都应该注意信息的保护，用户在使用开放提现等高级功能时，应提高对安全性的重视，避免信息泄露导致的各种危害，不让攻击者有可乘之机。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。